svchost.exe от администратора

[Fen1kz]

Добрый день, при загрузке появляюся 2 процесса svchost.exe (путь стандартный, C:/windows/system32/svchost.exe) но запущены они процессом explorer.exe и соотв. от имени администратора

когда сканил систему не выключал их, но от авз один пропал

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\cpuz130\cpuz_x32.sys','');
 DeleteService('cpuz130');
 DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\cpuz130\cpuz_x32.sys');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(20);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторный лог virusinfo_syscheck.zip;
- Сделайте лог MBAM

[Fen1kz]

сделал

[Fen1kz]

на всякий случай уточню - ничего не поменялось

[polword]

- удалите в MBAM

Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\bhonew.bho (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\nimo (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{cf4bff2b-b9c5-4c11-ab65-b3baccbf2c6e} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{ecd99db2-abfa-46ae-a7ee-16d0ddb78258} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\Typelib\{15c7d7ad-a87a-4c0d-9d8b-637fcd3488ef} (Trojan.BHO) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{7fbb2d91-9964-4196-bac5-d5e751762ec3} (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\HiSoft\CrackDownloader (CrackTool.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.com (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ras.exe (Trojan.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Bind (Malware.Trace) -> No action taken.


Зараженные файлы:
C:\WINDOWS\system32\sexit.dat (Trojan.Agent) -> No action taken.
C:\WINDOWS\explorer.ex_ (Heuristics.Reserved.Word.Exploit) -> No action taken.

[Fen1kz]

Файлы и один ключ реестра удалил вручную, остальное удалил по быстрому сканированию

2 свцхоста всеравно появляются при рестарте системы

[polword]

в логах подозрительного нет

[Fen1kz]

Сегодня просканил все avz - он ничего не нашел
посмтрел autoruns'ом - в папке главное меню/программы/автозагрузка лежал якобы лежал файл chkntfs.exe
но его там не было

однако! Аваст после очередной перезагрузки как-то его нашел, блокировал и поместил к себе в сундук.
именно этот и грузил 2 svchost.exe от имени администратора
файл я прислал в архиве с паролем virus через кнопку прислать карантин

собствено сейчас проблема решена, спасибо

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. \\chkntfs.exe - Trojan.Win32.Oficla.avy ( DrWEB: Trojan.Packed.21152, BitDefender: Gen:Variant.Kazy.1934, NOD32: Win32/TrojanDownloader.Carberp.R trojan, AVAST4: Win32:MalOb-CK [Cryp] )